Win32 Rootkit-gen[RTK] - BrYNSvc.exe

[kontik]

Witam,

Dziś Avast ni stąd ni zowąd poinformował mnie przy włączaniu komputera, że ochronił mnie przed niebezpieczeństwem blokując i przenosząc plik:BrYNSvc.exe do kwarantanny jako Win32 Rootkit-gen[RTK]. Co ciekawe początkowo znajdowało mi się, że było napisane iż plik znajduje się gdzieś tam w katalogu Windows, jednak w kwarantannie jest napisane, że znajduje się on teraz w: D:\Program Files (x86)\Browny02

w tym folderze znajduje się także podfolder Brother(mam drukarkę tej firmy).

Jak myślicie czy to wina Avasta czy też naprawdę jest coś na rzeczy i mam zrobić i zamieścić logi.

Pozdrawiam,

[picasso]

BrYNSvc jest częścią drukarki Brother. Odczyt sugeruje fałszywy alarm. Ale dołącz wymagane działem raporty, by przedstawić ogólnie system (czyli kontekst detekcji).

[kontik]

OTL i FRST

Extras.Txt

OTL.Txt

Addition.txt

FRST.txt

Shortcut.txt

[picasso]

Nic tu nie wskazuje na infekcję, więc prawdopodonie był to fałszywy alarm. Niemniej wdróż dodatkowe korekty na swoim systemie:

 

1. Usunięcie wpisów szczątkowych. Otwórz Notatnik i wklej w nim:

 

SearchScopes: HKCU - ${searchCLSID} URL = http://search.yahoo.com/search?fr=megaup&p={searchTerms}
Toolbar: HKCU - No Name - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - No File
FF HKLM-x32\...\Firefox\Extensions: [{00ADD29A-66F4-4f22-BCC0-4C1D29DA647B}] - D:\Program Files\LG Electronics\LG PC Suite IV\LinkAir\{00ADD29A-66F4-4f22-BCC0-4C1D29DA647B}\
Task: {3873F58E-CBB8-44FA-AAA3-75C2C807208D} - System32\Tasks\{AF49E738-4A4D-4A84-904E-12E9B3A556DF} => D:\Program Files (x86)\Fifa Master13\File Master 13\FileMaster13.exe
Task: {5D5A3B1F-7418-4BC9-947C-2810188BAF77} - System32\Tasks\{62CD2CF1-14DD-4EAC-B3EC-CAE21747CA3B} => D:\Program Files (x86)\Fifa Master13\File Master 13\FileMaster13.exe
Task: {8D8B73C3-A3FD-4F15-9DF8-ECF0274FB82C} - System32\Tasks\Scheduled Update for Ask Toolbar => D:\Program Files (x86)\Ask.com\UpdateTask.exe 
D:\Users\David\AppData\Local\Google\Chrome
AlternateDataStreams: D:\Windows:952901870E3EBEC1
AlternateDataStreams: D:\ProgramData\TEMP:0888F409
AlternateDataStreams: D:\ProgramData\TEMP:3440EB47
AlternateDataStreams: D:\ProgramData\TEMP:66633281
AlternateDataStreams: D:\ProgramData\TEMP:6CC69D3C
AlternateDataStreams: D:\ProgramData\TEMP:890CC2F3
AlternateDataStreams: D:\Users\David\Cookies:ZegzUBNyvuM0zbfahwSiE5ZOTJ
AlternateDataStreams: D:\Users\David\AppData\Local\Temp:q5Re1hGEE6pCE2bsiQ0R
AlternateDataStreams: D:\Users\David\AppData\Local\Temp:SVEKosUurJHI6rTTO2oHEU6MGCQ
S1 ntiomin; No ImagePath
S3 AndNetDiag; system32\DRIVERS\lgandnetdiag64.sys [X]
S3 AndNetGps; system32\DRIVERS\lgandnetgps64.sys [X]
S3 ANDNetModem; system32\DRIVERS\lgandnetmodem64.sys [X]
S3 andnetndis; system32\DRIVERS\lgandnetndis64.sys [X]
S3 androidusb; System32\Drivers\lgandadb.sys [X]
U4 bdselfpr;
S3 esgiguard; \??\D:\Program Files\Enigma Software Group\SpyHunter\esgiguard.sys [X]
S3 massfilter; system32\drivers\massfilter.sys [X]
S3 NVR0Dev; \??\D:\Windows\nvoclk64.sys [X]
S3 VBoxNetFlt; system32\DRIVERS\VBoxNetFlt.sys [X]
S3 ZTEusbmdm6k; system32\DRIVERS\ZTEusbmdm6k.sys [X]
S3 ZTEusbnmea; system32\DRIVERS\ZTEusbnmea.sys [X]
S3 ZTEusbser6k; system32\DRIVERS\ZTEusbser6k.sys [X]
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Ad-Aware Service => ""="Ad-Aware Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\CLPSLS => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\SBAMSvc => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Ad-Aware Service => ""="Ad-Aware Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\CLPSLS => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\SBAMSvc => ""="Service"
Reg: reg delete HKLM\SOFTWARE\Wow6432Node\Google /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\services\Ad-Aware Service" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\services\CacheBoost Service" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\services\ST2012_Svc" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Acrobat Assistant 8.0" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Ad-Aware Antivirus" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Ad-Aware Browsing Protection" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ApnUpdater" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\CacheBoost" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\COMODO" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\CPA" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\F.lux" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SBRegRebootCleaner" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SpywareTerminatorShield" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SpywareTerminatorUpdater" /f

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Plik zapisz pod nazwą fixlist.txt i umieść obok narzędzia FRST. Uruchom FRST i kliknij w Fix. Powstanie plik fixlog.txt.

 

2. Przez Panel sterowania odinstaluj sfatygowane stare skanery, zbędniki i śmieci: Ad-Aware Antivirus + Ad-Aware Browsing Protection + Ad-Aware Security Toolbar, COMODO GeekBuddy, Spyware Terminator 2012, uTorrentBar Toolbar.

 

3. Uruchom TFC - Temp Cleaner.

 

4. Zrób nowy log FRST (bez Addition i Shortcut). Dodaj też plik fixlog.txt.

 

 

 

.

[kontik]

Logi

:

Ad-aware i Spyware zostawione celowo, chyba że możesz polecić coś zamiast nich

Fixlog.txt

FRST.txt

[picasso]

Ad-aware i Spyware zostawione celowo, chyba że możesz polecić coś zamiast nic

Deinstalacja zalecona, bo są stare i nie ma co trzymać tego, o skuteczności przestarzałych rozwiązań nie ma co dywagować. To pozoprowanie zabezpieczeń. Dodatkowe uwagi:

- Ad-aware (elementy z roku 2011/2012) od dawna nie jest tym co sugeruje nazwa, to jest już antywirus. Posiadasz program tego typu, jest to Avast. Podziały tematyczne są likwidowane i jedynie konwencja nazewnicza została utrzymana. Obecnie "antywirus" pełni rolę szerszą niż tylko "antywirus" i wykrywa także spyware / adware / PUP.

- Spyware Terminator 2012 (silnik z roku 2011) to przestarzały słaby program. Masz w systemie program tego typu, jest to wbudowany w system Windows Defender. Dodatkowo, masz także lepszy program Malwarebytes Anti-Malware.

 

Nie widzę sensu instalowania dodatkowych programów orientowanych na "spyware". Jeśli chcesz prowadzić dodatkowe skany dające alternatywną opinię, to przerzuć się na mało inwazyjne nowoczesne skanery nie ingerujące w system aż tak mocno jak pełna instalacja starego antrywirusa / antyspyware np. Hitman Pro.

 

Deinstalacja została zalecona przed wykonaniem logów, by log wykazał na ile była ona kompletna. To nadal jest do wdrożenia.

 

 

 

.